[url=http://rapidshare.de/files/33519198/Unpacking___Cracking_RAR_Repa ir_Tool_3.0.rar
]http://rapidshare.de/files/33519198/Unpacking___Cracking_RAR_Repair_T o ol_3.0.rar
[/url]
http://rapidshare.de/files/30412021/OllyDbg_Execryptor.7z http://rapidshare.de/files/30412021/OllyDbg_Execryptor.7z

| Сообщение посчитали полезным:

[-]
сори =) ыы

| Сообщение посчитали полезным:

sniperZ пишет:
чтоб пользовались им только довереные люди
Ну и кто к "жёлтым" в доверие втЁрся?
Будем вычеслять,или сами расколитесь?
Мну,плезир,на бенладана хотелось бы зарегить....

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

Bronco пишет:
Ну и кто к "жёлтым" в доверие втЁрся?
превад тайна..

никто не пробывал смотреть, как код активации генерится?
вроде cpuid юзается..

| Сообщение посчитали полезным:

под чужой ник можно пропатчить - благо на unpack.cn ключи выложены для конкретных hwid

| Сообщение посчитали полезным:

Volx is always opening doors to a new era of reversing. Am glad to have met him (I love EXECryptor as well). Am not that powerful as he is, but I am willing to study and learn my way ;)

| Сообщение посчитали полезным:

SunBeam пишет:
Volx is always opening doors to a new era of reversing
;) Хм.. а я то думал это RSI сделал ..

| Сообщение посчитали полезным:

SunBeam
RSI for a long time has written automatic unpacker ExeCryptor.
Volx was late with opening an era

-----
StarForce и Themida ацтой!

| Сообщение посчитали полезным:

Maximus writes:
Volx was late with opening an era

...not from where I'm seeing this

Well, you gotta admit Volx's work is unique. At least he's offering people a chance to test his theories. Am still waiting for the day RSI will release his final version of the unpacker. Maybe he won't. Who knows?

| Сообщение посчитали полезным:

Письками начали меряться? Харэ флудить!

-----
Yann Tiersen best and do not fuck

| Сообщение посчитали полезным:

SunBeam this cracked with help final release ;)
www.crystalidea.com/software/wincomponents
crack
forum.ru-board.com/topic.cgi?forum=35&topic=38367#1

-----
StarForce и Themida ацтой!

| Сообщение посчитали полезным:

Х.з может про какие двери? пока на них висит амбарный замок в види доступа 20 вобще не о чем говорить .. А предыдущие скрипты с пракитической точки зрения малоинтерсны.

| Сообщение посчитали полезным:

Maximus writes:
SunBeam this cracked with help final release ;)

Remember I inlined Uninstall Tool (same soft producer). They use 2.4.0 RC1.02. Not a big deal, considering IAT is already there. You only need fixing of 10 stolen bytes (from what I know it should still be a C++ 8 app), then find is_registered flag

bbs.unpack.cn/viewthread.php?tid=18768

Also, what final release? Latest I knew of was beta 4. The only one out is beta 2. Any other?

EDIT: Heh, they kept the same structure :|



CrystalIdea softs are easy to crack :|

| Сообщение посчитали полезным:

SunBeam If you have access 20, please share this script for us
What cracked not easy, AnyplaceControl ;) ?

-----
StarForce и Themida ацтой!

| Сообщение посчитали полезным:

Maximus writes:
SunBeam If you have access 20, please share this script for us
What cracked not easy, AnyplaceControl ;) ?

Sorry, I have access 20 for a reason, and I respect those rules. Anyplace Control is interesting, I even used it back when it was protected with ASProtect. Ever since it got EXECryptor, the threads are lagging the transmission. So I still stick to latest one before they changed to eC

Oh, and it has the exact same check (is_registered flag) - only difference is that it's made in Delphi and not C++ =)

| Сообщение посчитали полезным:

SunBeam пишет:
You only need fixing of 10 stolen bytes (from what I know it should still be a C++ 8 app)


Uninstall Tool 2.2.1:

OEP not stolen:

00448CBD > $ 6A 60 PUSH 60
00448CBF . 68 68B24800 PUSH utool_du.0048B268
00448CC4 . E8 5F4E0000 CALL utool_du.0044DB28
00448CC9 . 8365 FC 00 AND DWORD PTR SS:[EBP-4],0
00448CCD . 8D45 90 LEA EAX,DWORD PTR SS:[EBP-70]
00448CD0 . 50 PUSH EAX ; /pStartupinfo
00448CD1 . FF15 78F14600 CALL DWORD PTR DS:[<&KERNEL32.GetStartupInfoW>] ; \GetStartupInfoW


is_registered flag:

004085D5 . E8 C0AD0F00 CALL utool_du.0050339A <-----------
004085DA > EB 06 JMP SHORT utool_du.004085E2
004085DC >^EB FC JMP SHORT utool_du.004085DA
004085DE .^EB FC JMP SHORT utool_du.004085DC
004085E0 FF DB FF
004085E1 . F8 CLC
004085E2 > E8 7D400D00 CALL utool_du.004DC664
004085E7 . 83F8 03 CMP EAX,3
004085EA . 74 53 JE SHORT utool_du.0040863F

| Сообщение посчитали полезным:

pavka пишет:
про какие двери?
Дык...мож надо свои прикрыть?
А то ещё надует...

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

У мну вопрос к спецам!!!!!
Есть адрес,есть размер данных,по этому адресу.
Как намутить (по скрипту),чтобы дампы памяти сохранять, исходя их этих данных??????
Их многовато, желательно каждый,отдельным файлом(пусть как *.bin)

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

Bronco пишет:
Есть адрес,есть размер данных,по этому адресу.
Как намутить (по скрипту),чтобы дампы памяти сохранять, исходя их этих данных??????
DM addr, size, file
Example:
dm 401000, 1F, "c:\dump.bin"
DMA addr, size, file
dma 401000, 1F, "c:\dump.bin"

| Сообщение посчитали полезным:

pavka
У мну тОж типа так:
------------
var addr
var size
var file

BPHWS offset,"x"
BPHWS offset2,"x"
@rip:
run
cmp eip,offset2
je @exit
mov addr,[esp+8]
mov size,[esp+c]
DM addr, size,"c:\zhopa.bin"
jmp @rip
@exit:
ret
----------
Для одного дампика это катит,а их много (штук 100)надо надампить.
Мну не вьедит как в это --> "c:\zhopa.bin",<---добавить ординал....))))
Чтоб было типа "c:\zhopa_01.bin"\"c:\zhopa_02.bin" и т.д.

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

Bronco а типа так
mov nn,0

@huy
....
add nn,1
eval "c:\zhopa_{nn}.bin"
dm addr, size,$RESULT
jmp @huy

-----
StarForce и Themida ацтой!

| Сообщение посчитали полезным:

Maximus
ХА!!!!гУд!!!работаЕт!!!!
тИ молодцА,считай что наказал "Технологию ворованных ресурсов"
Меньше двух минут,на это надо.

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

если бы они навесили свой метаморф непосредственно на сам код приложения, это хоть бы и были постоянные тормоза, но анпакеров бы не было досихпор =)

| Сообщение посчитали полезным:

slackhead
как тебя понимать?

| Сообщение посчитали полезным:

slackhead а ОНИ и навесили... однако все равно потихоньку разгребаем.

-----
StarForce и Themida ацтой!

| Сообщение посчитали полезным:

slackhead пишет:
но анпакеров бы не было досихпор =)
Причём тут анпакеры и метаморф ? Метаморф лежит в секции криптора и распаковка как таковая от него не зависит, вот взлом уже распакованной проги - тут как раз и надо разбирать морф (если конечно автор защищенной проги не ламо и сделал всё по уму)

-----
"Пусть видят, что мы не шутим. Стволы для понта, ножи для дела" Lock, Stock & Two Smoking Barrels

| Сообщение посчитали полезным:

Smon пишет:
распаковка как таковая от него не зависит
+1
Но под тормозами,наверное подразумевалось чтоб дамп,из-за полиморфа невалидным был.

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

наверно я чё-то не понимаю\мутно выражаюсь, прошу меня простить за это =) Постараюсь прояснить
RSI пишет:
как тебя понимать?
ну дык морфингу подлежит же только код протектора, оригинальный бинарник потом приводится к с своему изначальному виду и запускается.
Приведу пример, скомпиляем такое вот дерьмище:
.586
.model flat, stdcall

include windows.inc

include user32.inc
includelib user32.lib

include kernel32.inc
includelib kernel32.lib

include macros.asm


.code

get_num proc

mov eax, 123h
add eax, 321h
ret

get_num endp

start proc _dw:DWORD

LOCAL szResult[256]:BYTE

int 3

invoke get_num
imul eax, eax, 4
invoke wsprintf, addr szResult, chr$("result = %d"), eax
invoke MessageBox, 0, addr szResult, 0, 0
invoke ExitProcess, 0

ret

start endp
end start
для последующего сравнения приведём дизасм из олечки:
00401044 CC INT3
00401045 E8 E6FFFFFF CALL test2.00401030
0040104A 6BC0 04 IMUL EAX,EAX,4
0040104D 50 PUSH EAX
0040104E 68 20104000 PUSH test2.00401020 ; ASCII "result = %d"
00401053 8D85 00FFFFFF LEA EAX,DWORD PTR SS:[EBP-100]
00401059 50 PUSH EAX
0040105A E8 23000000 CALL <JMP.&user32.wsprintfA>
0040105F 83C4 0C ADD ESP,0C
00401062 6A 00 PUSH 0
00401064 6A 00 PUSH 0
00401066 8D85 00FFFFFF LEA EAX,DWORD PTR SS:[EBP-100]
0040106C 50 PUSH EAX
0040106D 6A 00 PUSH 0
0040106F FF15 08104000 CALL DWORD PTR DS:[<&user32.MessageBoxA>>; user32.MessageBoxA
00401075 6A 00 PUSH 0
00401077 FF15 00104000 CALL DWORD PTR DS:[<&KERNEL32.ExitProces>; kernel32.ExitProcess
0040107D C9 LEAVE
0040107E C2 0400 RETN 4


запротектим его 2.2.6 с этого сайта, запустим, в ольке видим:
00401044 CC INT3
00401045 E8 E6FFFFFF CALL 00401030
0040104A 6BC0 04 IMUL EAX,EAX,4
0040104D 50 PUSH EAX
0040104E 68 20104000 PUSH 401020 ; ASCII "result = %d"
00401053 8D85 00FFFFFF LEA EAX,DWORD PTR SS:[EBP-100]
00401059 50 PUSH EAX
0040105A E8 23000000 CALL 00401082
0040105F 83C4 0C ADD ESP,0C
00401062 6A 00 PUSH 0
00401064 6A 00 PUSH 0
00401066 8D85 00FFFFFF LEA EAX,DWORD PTR SS:[EBP-100]
0040106C 50 PUSH EAX
0040106D 6A 00 PUSH 0
0040106F FF15 08104000 CALL DWORD PTR DS:[401008]
00401075 6A 00 PUSH 0
00401077 FF15 00104000 CALL DWORD PTR DS:[401000]
0040107D C9 LEAVE
0040107E C2 0400 RETN 4

как видно сам код не пострадал, заменился только импорт, я не тестил ваши распаковщики :-[ т.к. мне пока это не интресно, но я почему-то подумал что они таки восстанавливают импорт
slackhead а ОНИ и навесили... однако все равно потихоньку разгребаем.
вот это интересно что именно вы разгребаете? сам мутатор которым мутирует протектящий код и сворачиваете восстанавливая логику полностью? очень интересно

| Сообщение посчитали полезным:

slackhead мягко говоря ты привел немного неудачный пример. в нем видно лишь один пункт защиты, а именно защиту импорта, которая у криптора не такая уж и продвинутая, по сравнению, например, с аспром.
У криптора другие сильные стороны, это антиотладка и метаморф. На сегодняшний день, крякерам удалось победить все кроме метаморфа (хотя есть люди которые потихоньку занимаются и им).

>>сам мутатор которым мутирует протектящий код
Вряд ли его получится легко разобрать, потому что в свою очередь он тоже смутирован.

Обобщить можно так: достаточно быстро можно сломать прогу под криптором, в которой стандартная схема регистрации. Если есть валидный ключ то сломать еще легче (к сожалению еще не научились делать рабочими забаненые ключи). Остальное ломается несколько тяжелее, но ничего невозможного нет.

-----
StarForce и Themida ацтой!

| Сообщение посчитали полезным:

Maximus
cпасибо за ответ! )
Maximus пишет:
ягко говоря ты привел немного неудачный пример. в нем видно лишь один пункт защиты, а именно защиту импорта
ну хз я паканул со всеми галочками на вкладке "protecting options". Как видно в коде выше есть процедура get_num которую при хорошем метаморфе можно было вообще свернуть...
Мораль состоит в том что возможно это даже не метаморф а просто продвинутый пермутатор с атниотдкой и прочей фигнёй стало быть зная логику можно свенуть его полностью. Верно? )

| Сообщение посчитали полезным:

slackhead
не верно. там ничего не измененно, кроме переходников на апи..
а чтоб глянуть на многослойный метаполиморф с вм, глянь sdk..

| Сообщение посчитали полезным: